MS Windows (.doc File) Malformed Pointers Denial of Service Exploit

漏洞现象与触发方式详解

用户只需将鼠标指针悬停于特定构造的.doc文件之上，Windows资源管理器便会立即崩溃。即使资源管理器侥幸未立即崩溃，尝试右键点击并查看该文件的属性，也必定会触发崩溃，实现“药到病除”的效果。经深入分析，此漏洞的根源位于系统核心组件Ole32.dll动态链接库中。

故障点精准定位

问题的核心在于一条关键的汇编指令：CMP DWORD PTR DS:[EAX+EBX],3。攻击者能够通过精心构造的恶意.doc文件，精确控制EAX、EDX和ESI等寄存器的赋值。这相当于赋予了攻击者一把“万能钥匙”，使其能够任意操纵程序的执行流程，引导至非法内存地址。

漏洞文件结构深度剖析

通过对问题文件进行十六进制分析，可以识别出几个至关重要的“魔法偏移量”，这些位置的数据直接影响了程序的寄存器状态：

偏移量4460：此处存储的数据会被直接加载到EDX寄存器中。

偏移量4519：此处存储的数据则对应ESI寄存器的赋值。

通过操控这些偏移量处的数值，攻击者可以诱导程序后续的执行流去访问无效或受保护的内存地址，从而触发内存访问违规异常，最终导致目标进程（如资源管理器）崩溃，实现拒绝服务攻击。

影响范围与实测验证

该漏洞并非理论推演，而是具有实际攻击威胁。安全研究人员在真实环境中测试证实，此漏洞在Windows 2000 SP4法语版和Windows XP SP2法语版操作系统上均可稳定复现，成功导致资源管理器进程崩溃，造成拒绝服务。

需要高度警惕的是，尽管测试集中在特定语言版本，但考虑到Ole32.dll是Windows操作系统的核心共享库，其他语言版本、不同Service Pack级别的Windows系统极有可能存在相同或类似的安全风险，潜在影响范围广泛。

技术细节与漏洞成因

从技术本质看，这是一个典型的“畸形指针”或“无效指针”漏洞。当Windows资源管理器解析特制的.doc文件中的OLE（对象链接与嵌入）对象时，未能对从文件内容中读取的指针值进行有效性和边界校验。攻击者嵌入的恶意指针被程序直接使用，当执行到诸如CMP DWORD PTR DS:[EAX+EBX],3这类内存访问指令时，系统会尝试访问一个非法地址，立即触发访问违规异常。对于资源管理器这类用户态应用程序，其结果就是被操作系统强制终止。

回顾历史，此类漏洞在早期Windows系统中并不少见，其根本原因在于系统组件对来自外部不可信文件格式（如.doc）的数据缺乏严格的输入验证和安全假设，盲目信任了文件内容。

总结与安全启示

尽管现代Windows操作系统（如Windows 10/11）已具备更为完善的安全机制（如ASLR、DEP），但深入剖析此类历史漏洞仍具有重要价值。它清晰地揭示了一个核心安全原则：当核心系统组件对外部输入数据“来者不拒”、缺乏验证时，即使一个看似无害的鼠标悬停操作，也可能成为击溃系统稳定性的“阿喀琉斯之踵”。对于软件开发和安全实践而言，始终坚持“最小信任”原则，对所有外部输入数据进行严格的验证、净化和边界检查，是防御此类指针操作漏洞及拒绝服务攻击的根本之道。

（漏洞原始发现者：Marsu ）